La responsabilità degli amministratori che la NIS2 introduce è personale, e l’Agenzia per la cybersicurezza nazionale ha chiarito che non si sposta con una delega.

Se siedi nel consiglio di una società che rientra nell’ambito, il decreto ti assegna sei obblighi tuoi, distinti da quelli dell’azienda. Devi approvare le misure di sicurezza, sorvegliare che vengano attuate, seguire una formazione, promuoverla ai dipendenti, farti informare degli incidenti. E rispondi delle violazioni.

La reazione istintiva è nominare qualcuno. Un responsabile della sicurezza, un CISO, un fornitore che se ne occupi. Serve, e va fatto, ma su questi obblighi non produce l’effetto che ci si aspetta. ACN li qualifica come obblighi di indirizzo e pianificazione strategica, e dice che in quanto tali non sono delegabili.

Il risultato pratico sono undici documenti che devono passare dal consiglio, e una sanzione che non colpisce la società ma la persona, cioè l’incapacità a svolgere funzioni dirigenziali dentro quella stessa azienda.

1. Chi risponde davvero, e chi no

Il primo equivoco riguarda chi sia, per la NIS2, un organo di amministrazione.

Sono gli organi che detengono il potere di direzione dell’organizzazione, compreso il consiglio di amministrazione dove esiste. Non è una categoria che l’azienda sceglie: si legge dalla struttura che l’azienda ha già.

• Se c’è un consiglio, ne fanno parte tutti i membri, senza distinzione fra esecutivi e non esecutivi.
• Se l’organo è monocratico, è la persona fisica che lo ricopre.
• Se un consiglio non c’è, o c’è ma non svolge funzioni di direzione e coordinamento, si individua l’organo che svolge funzioni analoghe, leggendo anche statuto e legge istitutiva.
• Il rappresentante legale è sempre compreso, in ogni caso.

1.1 Il CISO non ti sostituisce

Qui sta l’equivoco che tranquillizza molte aziende per sbaglio.

Il punto di contatto NIS, il suo sostituto, il CISO e il responsabile della sicurezza aziendale non sono organi di amministrazione, e non lo sono nemmeno le altre figure apicali che stanno sotto il consiglio. Lo diventano solo se siedono anche in consiglio.

Nominare un CISO, quindi, non trasferisce niente degli obblighi dell’art. 23. Trasferisce il lavoro, che è un’altra cosa e serve comunque.

Vale la pena sapere che la lettura opposta era sostenibile, e che qualcuno l’ha sostenuta. Nel 2024, prima che l’Agenzia si pronunciasse, in dottrina si era ipotizzato che gli organi di amministrazione potessero essere il personale dirigenziale con competenze tecniche, ragionando sul fatto che il decreto riserva loro l’approvazione di misure che altri hanno adottato. La risposta dell’Agenzia ha chiuso quella strada, e oggi chi si regge su quell’ipotesi lo fa contro l’interpretazione di chi applica la norma.

1.2 L’elenco che finisce sulla piattaforma

Ogni soggetto NIS, essenziale o importante, deve elencare ad ACN i componenti dei propri organi di amministrazione e direttivi. È l’adempimento dell’art. 7, comma 4, lettera c), del decreto, e si assolve dalla piattaforma dei servizi.

Nell’elenco vanno i membri del consiglio, e non le figure tecniche che abbiamo appena escluso. Non serve la PEC personale di ciascuno, basta quella dell’organizzazione.

È un dettaglio procedurale con una conseguenza sostanziale. Quell’elenco è il documento con cui l’Agenzia sa a chi intestare le conseguenze, e lo si compila da sé.

Se non sai ancora se la tua società rientri nell’ambito, la verifica in tre passi sta nella guida su chi rientra nella NIS2, e va fatta prima di tutto il resto.

2. I sei obblighi che hai in proprio

L’art. 23 del decreto NIS assegna agli organi di amministrazione sei obblighi. Tre stanno nel primo comma, due nel secondo, uno nel terzo.

Approvare le modalità di implementazione delle misure di sicurezza. Il decreto distingue fra le misure, che il soggetto adotta, e il modo in cui vengono messe in pratica, che il consiglio approva. Il consiglio non scrive le misure di sicurezza e non deve saperle scrivere. Deve approvarne l’attuazione, il che presuppone che gli arrivino in una forma che un amministratore possa capire e discutere.

Sovrintendere all’implementazione. L’obbligo copre tutto il capo IV del decreto, cioè misure, notifiche e certificazione, e copre anche l’art. 7, cioè la registrazione e l’aggiornamento annuale dei dati sulla piattaforma. Sorvegliare significa sapere a che punto sta l’adeguamento, non firmarlo una volta.

Rispondere delle violazioni. È la lettera che rende personali le altre cinque, e il capitolo 6 dice cosa comporta.

Seguire una formazione in materia di sicurezza informatica. Riguarda i componenti dell’organo, uno per uno.

Promuovere la formazione dei dipendenti. Deve essere periodica e coerente con quella seguita dal consiglio, e serve a far acquisire le competenze per individuare i rischi e valutarne l’impatto sui servizi.

Essere informati degli incidenti. Il terzo comma colloca gli organi fra i destinatari dell’informazione sugli incidenti e sulle notifiche, su base periodica oppure tempestivamente quando serve.

2.1 L’ultimo è quello che si dimentica

I primi cinque obblighi si vedono. Producono una delibera, un attestato di formazione, un piano.

Il sesto no, perché è scritto al passivo. Il decreto dice che gli organi sono informati, e non dice chi debba informarli né con quale cadenza. In un’azienda dove nessuno lo organizza, quell’obbligo semplicemente non accade, e non lascia traccia della propria assenza.

La conseguenza pratica arriva dopo. Quando l’Agenzia chiede conto di un incidente, la domanda che segue è sempre se il consiglio ne fosse a conoscenza e cosa abbia deciso. Un flusso informativo che esiste solo a parole non produce la prova che serve in quel momento.

2.2 Da dove viene questo articolo

L’art. 23 recepisce l’art. 20 della direttiva NIS2, che infatti è rubricato Governance, e il considerando 137 ne dichiara lo scopo, cioè garantire un elevato livello di responsabilità a livello di soggetti essenziali e importanti.

Un dettaglio del recepimento merita attenzione, perché sposta un peso. La direttiva dice che gli Stati membri incoraggiano i soggetti a offrire formazione ai dipendenti. Il decreto italiano trasforma quell’incoraggiamento in un obbligo, e lo mette in capo agli organi di amministrazione. Chi legge la direttiva e si tranquillizza sta leggendo un testo che in Italia è stato scritto più severo.

3. Gli undici documenti da portare in consiglio

L’obbligo di approvare diventa concreto in un elenco, e l’Agenzia lo ha pubblicato. Sono undici documenti, ciascuno con il codice della misura di sicurezza che ne impone l’approvazione.

• Organizzazione per la sicurezza informatica (GV.RR-02)
• Politiche di sicurezza informatica (GV.PO-01)
• Valutazione del rischio posto alla sicurezza dei sistemi informativi e di rete (ID.RA-05)
• Piano di trattamento del rischio (ID.RA-06)
• Piano di gestione delle vulnerabilità (ID.RA-08)
• Piano di adeguamento (ID.IM-01)
• Piano di continuità operativa (ID.IM-04)
• Piano di ripristino in caso di disastro (ID.IM-04)
• Piano di gestione delle crisi (ID.IM-04)
• Piano di formazione (PR.AT-01)
• Piano per la gestione degli incidenti di sicurezza informatica (RS.MA-01)

Le misure che portano quei codici sono materia di un’altra guida. Qui conta che ognuna di esse chiede, fra i propri requisiti, che un documento passi dal consiglio.

L’elenco è anche in forma tabellare nell’appendice C della guida alla lettura delle specifiche di base, che l’Agenzia pubblica insieme alla determinazione sulle misure.

3.1 Quanto devono essere tecnici

La domanda arriva subito, e la risposta è meno onerosa di quanto si tema.

I documenti devono riflettere i requisiti delle misure almeno a livello di indirizzo e pianificazione strategica, in modo da consentire agli organi di esercitare consapevolmente la propria funzione. Il dettaglio tecnico e operativo sta altrove, in procedure, istruzioni operative, manuali e relazioni interne, curati dalle strutture competenti.

Un piano per la gestione degli incidenti portato in consiglio non deve contenere le procedure. Basta che le elenchi e rimandi ai documenti che le contengono.

3.2 Quello che il consiglio non approva

Due precisazioni dell’Agenzia evitano lavoro inutile, e valgono quanto l’elenco.

I presidi tecnici richiamati dentro quei documenti non vanno approvati dal consiglio.

Se uno di quei presidi viene aggiornato, i documenti approvati non tornano in consiglio. Aggiornare una procedura tecnica, quindi, non costringe a riconvocare l’organo.

Resta libera anche l’organizzazione dell’impianto documentale. I contenuti richiesti si possono raggruppare in un unico documento o distribuire fra più documenti, come conviene all’azienda.

4. La responsabilità non si delega, il lavoro sì

La delega interna è ammessa, e l’Agenzia lo dice espressamente. Sposta però l’esecuzione, e si ferma lì.

Restano in capo agli organi di amministrazione, per legge, l’approvazione delle modalità di implementazione delle misure, la sorveglianza sulla loro attuazione, la responsabilità per le violazioni, la formazione propria e la promozione di quella dei dipendenti.

La ragione che l’Agenzia dà è secca. Si tratta di obblighi di indirizzo e pianificazione strategica e, in quanto tali, non sono delegabili. È delegabile lo svolgimento delle attività che servono ad attuarli.

4.1 L’approvazione resta collegiale

Sull’approvazione dei documenti la posizione è ancora più stretta.

Quell’obbligo resta unicamente ed esclusivamente agli organi di amministrazione e direttivi nella loro collegialità, oppure all’organo monocratico dove esiste. L’Agenzia aggiunge che non è trasferibile né a membri specifici, né a distinti organi e funzioni del soggetto, indipendentemente dal modello di governance societaria adottato.

Vuol dire che un consiglio non può affidare la materia a un amministratore delegato con delega alla sicurezza e considerarsi a posto. Quella delega serve a far lavorare qualcuno su quei documenti. L’approvazione torna in consiglio, e ci torna per intero.

4.2 Il rinvio al diritto societario

Sulle conseguenze della delega, l’Agenzia rinvia espressamente agli artt. 2381 e 2392 del codice civile, cioè al regime ordinario di responsabilità degli amministratori di società.

È il solo aggancio al diritto societario che l’autorità dichiara, e va letto per quello che è. Il rinvio non consente di trasferire gli obblighi dell’art. 23 su singoli membri o su altre funzioni, e l’Agenzia lo precisa nella stessa risposta, per evitare che il richiamo venga usato al contrario.

Per un amministratore non esecutivo la conseguenza pratica è che la posizione non si esaurisce nell’aver nominato qualcuno. Come quel regime operi nel caso concreto dipende dal modello di amministrazione adottato, ed è materia da valutare con chi segue la governance della società.

5. La formazione del consiglio è un obbligo

Il decreto chiede due cose distinte, e le chiede agli organi.

La prima è che i componenti seguano una formazione in materia di sicurezza informatica. La seconda è che promuovano un’offerta periodica di formazione ai dipendenti, coerente con quella seguita dagli organi, perché acquisiscano competenze sufficienti a individuare i rischi e a valutarne l’impatto sui servizi.

Non resta un proposito. Il piano di formazione è uno degli undici documenti del capitolo 3, porta il codice PR.AT-01, e quella misura dice cosa deve contenere.

5.1 Cosa deve contenere il piano

Il piano copre il personale, e vi sono espressamente inclusi gli organi di amministrazione e direttivi. Deve essere definito, attuato, aggiornato e documentato, e contenere almeno due cose:

• la pianificazione delle attività previste, con l’indicazione dei contenuti della formazione fornita;
• le eventuali modalità di verifica dell’acquisizione di quei contenuti.

Per chi ricopre ruoli specializzati, e la misura nomina gli amministratori di sistema, il piano prevede una formazione dedicata che comprende almeno le istruzioni sulla configurazione e sul funzionamento sicuri dei sistemi, le informazioni sulle minacce note e le istruzioni sul comportamento da tenere in caso di eventi rilevanti.

5.2 Il registro è parte dell’obbligo

Qui sta la parte che quasi nessuno prepara, e che in una verifica viene chiesta per prima.

Va mantenuto un registro aggiornato con l’elenco dei dipendenti che hanno ricevuto la formazione, i contenuti erogati e l’elenco delle verifiche svolte dove previste.

Chi compra un corso e non tiene il registro ha adempiuto a metà, e la metà mancante è quella dimostrabile.

5.3 Quello che nessuna fonte dice

Restano fuori tre cose, e conviene saperlo prima di scegliere un fornitore.

Nessuna fonte stabilisce quante ore di formazione servano. Nessuna fissa una periodicità minima, al di là dell’obbligo di tenere il piano aggiornato. Nessuna dice chi possa erogarla, né chiede una qualifica particolare a chi la eroga.

In assenza di parametri la posizione difendibile si costruisce da sé, con una formazione proporzionata al settore e alla dimensione dell’azienda, ripetuta nel tempo, e coerente fra quella degli organi e quella dei dipendenti, come il decreto chiede espressamente.

6. Cosa rischia l’amministratore in proprio

Il decreto mette la persona fisica in una posizione precisa. Chi ha la rappresentanza del soggetto, o il potere di prendere decisioni per suo conto o di esercitarvi un controllo, assicura il rispetto delle disposizioni, e può essere ritenuto responsabile dell’inadempimento del soggetto che rappresenta.

Non è una formula di stile, è il presupposto della sanzione che segue.

6.1 La sanzione che colpisce la persona

Quando il soggetto non adempie nei termini fissati da una diffida dell’Agenzia, l’Agenzia può disporre nei confronti delle persone fisiche, compresi gli organi di amministrazione e direttivi e chi svolge funzioni di amministratore delegato o rappresentante legale, la sanzione amministrativa accessoria dell’incapacità a svolgere funzioni dirigenziali all’interno di quel soggetto.

La misura dura finché l’azienda non adotta i rimedi necessari o non si conforma alla diffida. Colpisce la persona e non il bilancio, e per un amministratore è la conseguenza che pesa di più.

Per i soli soggetti essenziali il decreto prevede anche la sospensione temporanea di certificazioni o autorizzazioni relative ai servizi.

Nel settore pubblico il meccanismo cambia forma. Per i dipendenti pubblici la violazione degli obblighi può integrare responsabilità dirigenziale, disciplinare e amministrativo-contabile.

6.2 C’è un passaggio prima, e va usato

La sanzione personale non arriva senza preavviso, e il decreto costruisce due momenti in cui si può intervenire.

Il primo è la diffida. L’Agenzia contesta l’inadempimento e indica modalità e termini ragionevoli e proporzionati per adempiere, e per riferire a che punto si è arrivati.

Il secondo è la notifica delle conclusioni preliminari, che precede i provvedimenti più gravi. L’Agenzia concede un termine non inferiore a quindici giorni per presentare osservazioni. Quel termine salta solo quando l’urgenza di prevenire un incidente o di rispondervi non consente di attendere.

Quindici giorni sono pochi per costruire una difesa da zero, e sono sufficienti per esibire un percorso di adeguamento già avviato e documentato. È la ragione pratica per cui le delibere del capitolo 3 vanno prese prima e non dopo.

Conclusioni

La NIS2 sposta la sicurezza informatica dal reparto tecnico al tavolo del consiglio, e lo fa con una tecnica che il diritto societario italiano conosce bene, cioè attribuendo obblighi di indirizzo che non si possono delegare.

La nostra posizione è che il rischio maggiore, per un amministratore, non stia nella sanzione pecuniaria, che colpisce la società. Sta nel trovarsi a rispondere di un’omissione che nessuno gli aveva mai portato in consiglio. Undici documenti approvati, una formazione tracciata e un flusso informativo sugli incidenti che funzioni davvero sono, insieme, l’unica difesa disponibile, e costano poco rispetto a una diffida.

Un punto resta aperto, e va detto. Il rinvio agli artt. 2381 e 2392 del codice civile apre una questione che l’Agenzia non risolve, cioè come il regime ordinario di responsabilità degli amministratori si combini con obblighi che il decreto dichiara non delegabili. È terreno da valutare caso per caso, insieme a chi segue la governance della società.

Punti chiave

Fonti e risorse utili